Avec la généralisation des assistants d’IA générative, les permissions obsolètes accumulées dans les entreprises deviennent un risque de sécurité à part entière. Adrien Gendre, Chief Product Officer de Hornetsecurity, alerte sur cette « dette de permissions » et plaide pour une gouvernance continue des accès.
Chacun d’entre nous l’a déjà vécu : un document partagé avec un prestataire il y a plusieurs années est toujours accessible. Un ancien collaborateur figure encore parmi les personnes autorisées à consulter des fichiers confidentiels. Une évaluation RH est visible par des salariés qui ne devraient pas y avoir accès.
Avec l’essor des assistants IA, ces situations auparavant insignifiantes deviennent aujourd’hui un véritable enjeu de cybersécurité. Car au fil des années, les organisations accumulent une multitude d’autorisations devenues obsolètes : liens de partage jamais supprimés, comptes invités toujours actifs, permissions héritées d’anciens projets… Cette accumulation constitue la dette de permissions.
De même que la dette technique, elle progresse à mesure que l’IA se déploie. Sauf que l’IA ne crée pas de nouveaux droits d’accès ; elle exploite ceux qui existent. Et c’est précisément là que réside le risque.
Mettre en œuvre une gouvernance des accès
Prenons l’exemple de Microsoft Copilot. L’assistant ne contourne pas les règles de sécurité et respecte les permissions attribuées à chaque utilisateur. En revanche, il change radicalement la manière d’exploiter ces droits. Là où il fallait auparavant rechercher manuellement un document, l’IA est capable de relier des sources d’information et d’explorer simultanément des e-mails, des documents, des espaces SharePoint ou des comptes-rendus de réunion pour restituer, en quelques secondes, une information consolidée. Elle peut aussi faire remonter des informations provenant d’emplacements auxquels un utilisateur ne savait même pas qu’il avait accès.
Avant l’émergence de l’IA générative, exploiter des permissions mal définies nécessitait un acte intentionnel, un savoir-faire et un effort “manuel”. Désormais, les IA peuvent avoir un accès direct aux données sensibles, sans effort. Dès lors, à mesure que les assistants IA se généralisent, la dette de permissions devient un enjeu de gouvernance des données, de conformité réglementaire et de maîtrise du risque opérationnel. Les directions générales doivent s’en saisir car il ne s’agit plus d’une simple opération de maintenance informatique mais d’un enjeu de résilience de l’entreprise.
Une stratégie IA ne doit donc pas être évaluée uniquement à travers les gains de productivité qu’elle génère, mais elle doit aussi garantir que les données consultées sont accessibles uniquement aux bonnes personnes, au bon moment et uniquement lorsque cela est nécessaire.
En d’autres termes, quelles informations les utilisateurs peuvent-ils exposer à l’IA via les droits d’accès dont ils disposent ?
Pour gérer les risques inhérents aux permissions, les entreprises peuvent suivre trois principes. Le premier consiste à mettre en place une surveillance continue des permissions afin d’identifier rapidement les comptes inactifs, les anciens liens de partage ou les accès devenus obsolètes.
Le second est d’utiliser l’automatisation, afin de distinguer les collaborations actives et légitimes des permissions qui n’ont plus de raison d’exister. L’analyse peut reposer sur la date du dernier accès, le niveau de sensibilité du fichier, le périmètre du partage (par exemple un utilisateur identifié ou « toute personne disposant du lien ») ainsi que l’activité réelle des utilisateurs externes.
Enfin, les organisations doivent automatiser autant que possible la remédiation : suppression des liens inutilisés, limitation des accès les plus larges, application de dates d’expiration aux fichiers sensibles ou encore révocation des droits des utilisateurs inactifs. Les outils de gestion des permissions peuvent automatiser cette démarche.
Le nettoyage manuel est impossible à grande échelle, la gestion des permissions doit donc être pensée comme un processus permanent. A l’heure où un assistant IA peut parcourir en quelques secondes l’ensemble du patrimoine documentaire d’une organisation, notre rapport à la sécurité de l’information se doit d’évoluer.
